B站、小红书崩了！阿里云紧急回应

7月2日中午，“小红书崩了”和“B站崩了”两个话题冲上微博热搜榜一榜二！

据第一财经报道，B站App无法使用浏览历史关注等内容，消息界面、更新界面、客服界面均不可用，用户也无法评论和发弹幕，视频评论区和用户(UP主)主页都无法加载。有网友反映小红书内容无法刷新。

对此，B站客服界面显示，B站部分功能出现故障，已经正在紧急修复当中，请稍后重试。这已是B站今年多次服务器崩溃，用户无法正常访问，此前官方解释因服务器负载过高。

随后，也有不少网友反映“小红书崩了”，刷新不出推荐内容。

小红书客服则表示，对于小红书崩了一事已记录反馈，会尽快查看排查，用户可稍后再尝试使用。

对此，阿里云发布上海可用区N网络访问异常事件进展：北京时间2024年07月02日10:04，阿里云监控发现上海地域可用区N网络访问出现异常，经阿里云工程师紧急介入处理后，于10:35完成网络切流调度后，10:42访问异常问题恢复。若有任何问题，请随时联系。

问世近 20 年首个远程执行漏洞，OpenSSH 遭遇新威胁：无需用户交互，可提权至 root

7 月 2 日消息，OpenSSH 自 1995 年问世近 20 年来，首次出现了未经验证的远程执行（RCE）漏洞，攻击者可以提权至 root 最高权限，在不需要用户交互的情况下执行任意代码。

OpenSSH 是一套基于 Secure Shell（SSH）协议的网络实用程序，广泛用于安全远程登录、管理远程服务器，通过 scp 或 sftp 备份、远程文件传输等功能。

该漏洞于今年 5 月被网络安全公司 Qualys 发现，追踪编号为 CVE-2024-6387，存在于 OpenSSH 服务器（sshd）中，由于信号处理器竞赛条件存在缺陷，可以让未经认证的远程攻击者以 root 用户身份执行任意代码。

Debian 安全公告解释说：

如果客户端没有在 LoginGraceTime 秒（默认为 120 秒）内通过身份验证，那么 sshd 的 SIGALRM 处理程序就会被异步调用，并调用各种不安全的异步信号函数。

Qualys 公司表示这个漏洞非常严重：

攻击者利用该漏洞，可以让系统全面瘫痪，以 root 最高级别权限全面接管系统，安装恶意软件、篡改数据和创建后门便于后续访问等等。

而且攻击者可以利用该漏洞发起连锁攻击，以已经被入侵的系统为立足点，辐射攻击网络中其它存在问题的设备。

尽管该漏洞很严重，但 Qualys 称 regreSSHion 很难被利用，需要多次尝试才能实现必要的内存破坏。

IT之家附上受影响版本：

• 版本 < 4.4p1

• 8.5p1 <= 版本 < 9.8p1

要解决或缓解 OpenSSH 中的 regreSSHion 漏洞，建议采取以下措施：

• 升级 OpenSSH 服务器的最新可用更新（版本 9.8p1），修复漏洞。

• 使用防火墙等网络控制手段限制 SSH 访问，并实施网络分段以防止横向移动（指网络攻击者或威胁行为者在搜索最终成为攻击活动目标的关键数据和资产时用来逐步在网络中移动的技术）。

• 如果 OpenSSH 服务器无法立即更新，可在 sshd 配置文件中将 “LoginGraceTime” 设置为 0，但要注意这可能会使服务器遭受拒绝服务攻击。

Shodan 和 Censys 的扫描结果显示，有超过 1400 万台 OpenSSH 服务器暴露在互联网上，但 Qualys 根据其 CSAM 3.0 数据确认有 70 万个实例处于易受攻击状态。

文章来源 ：红星新闻、IT之家

精彩推荐

乘风破浪|华盟信安线下网络安全就业班招生中！

【Web精英班·开班】HW加油站，快来充电！

‍

始于猎艳，终于诈骗！带你了解“约炮”APP

‍